MPLS VPN hay lớp phủ IPsec: ba hợp đồng cần giải quyết

Ba lời hứa nằm trong một báo giá diện rộng duy nhất, và mua một cái không mua những cái còn lại. Ai đó chuyển tiếp gói tin của bạn, ai đó giữ định tuyến của bạn tách biệt khỏi mọi khách hàng khác, và ai đó quyết định liệu tải trọng có đọc được trong quá trình truyền hay không. Những lời hứa đó có thể thuộc về các bên khác nhau và vẫn mô tả một thiết kế khả thi. Tách chúng ra là quyết định; chọn tên công nghệ thì không.

Ba lời hứa trong một báo giá diện rộng

Lời hứa đầu tiên là vận chuyển: những địa điểm nào kết nối, qua những đường truy cập nào, và ai chuyển tiếp gói tin giữa chúng. Lời hứa thứ hai là định tuyến: những tiền tố nào có thể đến được nhau, ai phê duyệt thay đổi, và làm sao lưu lượng của bạn tách biệt khỏi một bên thuê khác. Lời hứa thứ ba là bảo vệ: cái gì được mã hóa, giữa những điểm cuối nào, và ai giữ khóa. Hãy yêu cầu từng cái bằng văn bản, vì mỗi câu trả lời sống trong một tài liệu khác nhau.

Báo giá của nhà cung cấp thường định giá cái đầu tiên, giả định cái thứ hai và để cái thứ ba cho bạn. Đó không phải sự không trung thực; ba cái được bán bởi các nhóm khác nhau. Nó trở thành vấn đề khi rà soát thiết kế phát hiện nhóm bảo mật giả định có mã hóa và nhóm mạng giả định nhà mạng đã xử lý việc đó. Chia câu thành ba tốn một giờ và ngăn cuộc họp đó.

Nhãn mô tả chuyển tiếp, không phải dịch vụ tại điểm phân định

Chuyển mạch nhãn đa giao thức nói cách một gói tin di chuyển bên trong mạng của nhà cung cấp. Nó không nói khách hàng cắm vào cái gì, hay khách hàng trao đổi gì với biên nhà cung cấp. Nhà cung cấp có thể xây dựng một IP VPN định tuyến trên MPLS, hoặc một dịch vụ lớp 2 với mô hình kết nối hoàn toàn khác, và cả hai đều có thể đến với bạn như một „kết nối MPLS“.

Thuật ngữ VPN do nhà cung cấp cung cấp của IETF định nghĩa từ vựng chính xác cho việc này: biên khách hàng, biên nhà cung cấp và các mô hình dịch vụ được xây dựng giữa chúng. Dùng nó khi báo giá làm mờ các lớp, và hỏi việc bàn giao thực sự là gì.

Một dịch vụ định tuyến cho bạn quan hệ định tuyến với biên nhà cung cấp, nên việc thêm một tiền tố trở thành yêu cầu thay đổi ở hai tổ chức. Một bàn giao lớp 2 mang định tuyến của riêng bạn và chuyển gánh nặng vận hành về phía bạn. Không cái nào tốt hơn một cách trừu tượng; câu trả lời xuất phát từ việc cấu trúc liên kết của bạn thay đổi bao thường xuyên và ai bạn muốn trả lời lúc ba giờ sáng.

Mã hóa là lời hứa bạn không thể ủy thác nhầm

Vận chuyển riêng không làm tải trọng không đọc được. Sự tách biệt của nhà cung cấp giữ các bên thuê tách nhau về mặt vận hành; đó không phải tuyên bố về việc ai có thể kiểm tra các byte trên đường. Nếu yêu cầu là nhà mạng không thể đọc lưu lượng, yêu cầu đó cần một cơ chế bạn kiểm soát, và IPsec là cơ chế thông thường.

IPsec chạy trên vận chuyển riêng cũng dễ như trên truy cập internet, nên „MPLS hay IPsec“ là lựa chọn sai mỗi khi bạn cần đồng thời khả năng tiếp cận được quản lý và ranh giới tin cậy của riêng bạn. Hãy quyết định nơi đường hầm kết thúc, vì một đường hầm kết thúc trên bộ định tuyến để lại phân đoạn phía sau bộ định tuyến đó ở dạng văn bản rõ. Sau đó quyết định ai quản trị từng đối tác, vì khóa do bên thứ ba giữ không phải ranh giới bạn sở hữu.

Giao cho mỗi lời hứa một tên và một ranh giới đo được

Viết một dòng cho mỗi lời hứa với chủ sở hữu và ranh giới có thể đo được. Tính sẵn sàng của một đường truy cập thuộc về nhà cung cấp của nó, độ trễ đường trục thuộc về nhà cung cấp, và sự sống của đường hầm thuộc về người vận hành các điểm cuối. Một con số từ đầu đến cuối mà không ai đo là con số không ai nợ bạn.

Thỏa thuận mức dịch vụ đến từ hợp đồng và phạm vi của nó, không phải từ các chữ trong tên công nghệ. IPsec không yêu cầu vận chuyển internet nỗ lực tối đa, và MPLS không tự mang bảo đảm độ trễ; cả hai phụ thuộc vào lớp nền và các điểm cuối bạn chọn.

Kiểm tra con đường bạn đã vẽ, kể cả sự cố của nó

Vận chuyển riêng với giao diện rộng rãi vẫn có thể thất bại khi lớp phủ thêm tiêu đề, và triệu chứng là một phiên thiết lập rồi bị kẹt ở các phản hồi lớn. Hãy kiểm tra kích thước khả dụng thay vì lập luận về nó, và ghi lại gói lớn nhất đi qua từ đầu đến cuối. Làm điều đó trước khi bạn tranh luận về băng thông, vì một con đường làm rơi gói lớn trông giống vấn đề ứng dụng. Con số thuộc về tài liệu thiết kế bên cạnh MTU của mỗi đường truy cập.

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

Những lệnh đó đến từ một máy chủ Linux tại một địa điểm; các nền tảng khác viết cùng bài kiểm tra theo cách khác. Nếu một địa điểm cần giá trị nhỏ hơn, đó là ràng buộc thiết kế cần ghi lại, không phải lỗi cần báo cáo. Cùng kỷ luật đó áp dụng cho thông lượng, vì mã hóa tốn xử lý và điểm cuối trở thành một phần của phép tính dung lượng.

Vẽ hai sơ đồ trước khi ký: con đường bình thường với mọi chủ sở hữu được dán nhãn, và con đường sự cố với cùng các nhãn. Sơ đồ thứ hai phơi bày những thiết kế trông dư thừa trên giấy và trong thực tế phụ thuộc vào một thiết bị. Khi sự cố đến, chính bản vẽ đó biến một buổi sáng rối rắm thành một lần phân loại ngắn.